Blog Zero Trust

Zero Trust: pijlers en implementatie

 

Elk kwartaal behandelt een Tedas-collega een onderwerp uit onze 4 speerpunten: Defense-in-Depth, Zero Trust, Segmentatie, Monitoring & Detectie. Het tweede kwartaal van 2023 staat in het teken van Zero Trust. IT Business Architect Morcel el Ouahbi kijkt vanuit zijn rol naar Zero Trust en haakt in deze blog in op de implementatie, technologie en de vijf pijlers van Zero Trust volgens Tedas.

 

 

Wat is Zero Trust?
Zero Trust is een beveiligingsmodel dat ervan uitgaat dat niets binnen of buiten een netwerk automatisch vertrouwd is. In plaats daarvan moet elke gebruiker, elk apparaat en elke applicatie zichzelf authentiseren en de juiste autorisaties ontvangen voordat toegang tot de bronnen van een netwerk zijn verleend. Dit betekent dat zelfs als een gebruiker is ingelogd op zijn account, hij nog steeds niet automatisch toegang heeft tot alle data en applicaties binnen het netwerk. In plaats daarvan wordt de toegang beperkt tot alleen die data en applicaties waarvoor hij is geautoriseerd, op basis van de toegekende rol(len) van deze gebruiker.

Waarom is Zero Trust zo belangrijk?
Het Zero Trust-model is gebaseerd op het idee dat cyberaanvallen onvermijdelijk zijn en ieder netwerk vroeg of laat kan worden binnengedrongen. Daarom is het verstandig om zoveel mogelijk maatregelen te implementeren om een aanval vroegtijdig te detecteren, kans op tijdig ingrijpen te vergroten en de impact van de aanval op de organisatie te minimaliseren, in plaats van alleen te focussen op het buiten houden van de aanvaller. Bij de Zero Trust aanpak gaan we er zelfs vanuit dat dreigingen al actief zijn binnen het netwerk (Assume Breach[1]), of zelfs van binnen de eigen organisatie komen. Zero Trust beveiliging maakt gebruik van verschillende technologieën, waaronder authenticatie, autorisatie, encryptie en netwerksegmentatie, om het netwerk van binnenuit te beschermen.

[1] Het principe Assume Breach gaat ervan uit dat een hacker al binnen is. Dit lukt hem uiteindelijk toch wel, al dan niet door een of meerdere menselijke fouten.

Hierdoor zou je kunnen zeggen dat Zero Trust voor iedereen van belang is die zijn security serieus neemt. Met een goed geïmplementeerde Zero Trust aanpak kun je bij wijze van spreken al je systemen rechtstreeks aan het internet hangen en nog steeds rustig slapen, in de wetenschap dat deze nog steeds afdoende beveiligd zijn.

Binnen Tedas hanteren we de volgende definitie:

Niets en niemand is standaard vertrouwd. Hierdoor moet elk onderdeel, inclusief de mens, zichzelf verifiëren binnen een netwerk infrastructuur.

 Zero Trust bestaat voor Tedas uit vijf pijlers:

1. Dataclassificatie: Om de juiste beveiligingsmaatregelen te bepalen, moeten we inschatten wat de waarde is van de data die de organisatie gebruikt. Hoe hoger de data is geclassificeerd, hoe zwaarder de beveiligingsmaatregelen voor deze data zijn. Alle data, vaak de kroonjuwelen van de organisatie, zijn daardoor optimaal beveiligd.
2. Least Privilege: Least privilege houdt in dat gebruikers en systemen niet meer dan de minimaal noodzakelijke rechten hebben om hun functie uit te voeren. Hierdoor is de kans op een datalek beperkt en kunnen kwaadwillenden systemen binnen een netwerkinfrastructuur niet zomaar misbruiken voor een aanval. Dit richten we in met behulp van Identity & Access Management (IAM) voor de gebruikers en afgedwongen beveiligingsmaatregels voor de systemen.
3. Segmentatie: Segmentatie houdt in dat er binnen de IT-infrastructuur, fysiek of virtueel, gescheiden segmenten zijn opgenomen. Gebruikers en systemen binnen deze segmenten kunnen enkel met behulp van een koppelvlak buiten hun segment communiceren. Dit zorgt ervoor dat niet alle gebruikers en systemen via het netwerk benaderbaar zijn, maar enkel hetgeen dat is geautoriseerd.
4. Versleuteling: Al het netwerkverkeer dat plaatsvindt, is standaard versleuteld met behulp van Public Key Infrastructure (PKI). Meer over encryptie leest u in onze Blog over Post Quantum Cryptografie.
5. Security Awareness: Ondanks technisch afdwingbare maatregelen is een keten zo sterk als de zwakste schakel. Vaak blijkt dit de mens te zijn. Daarom is security awareness essentieel om uw informatiebeveiliging op hoog niveau te houden.

Zero Trust en bijbehorende technologische maatregelen

Zero Trust gaat uit van het principe van “eerst verifiëren en dan pas vertrouwen”. Dit betekent dat elke gebruiker en elk systeem zichzelf voortdurend moet identificeren en autoriseren, voordat we toegang tot data en applicaties verlenen. Dit doen we door een reeks beveiligingsmaatregelen en -technologieën toe te passen, waaronder:

• Transport Layer Security (TLS) Authenticatie: Deze methode gebruiken we om veilige communicatie tussen een server en een cliënt te garanderen. One-way TLS authenticatie controleert alleen de identiteit van de server, terwijl Two-way TLS Authenticatie zowel de identiteit van de server als de cliënt controleert;
• Multifactor Authenticatie: Gebruikers moeten meer dan één vorm van authenticatie gebruiken om toegang te krijgen tot resources. Denk hierbij bijvoorbeeld aan een wachtwoord in combinatie met iets dat je hebt (device, app, token, etc.), kent (wachtwoord of pincode) of bent (biometrisch kenmerk, zoals een vingerafdruk, gezichtsherkenning, etc.);
• Toegangscontrole: De technische inregeling van het Least Privilege principe doen we met toegangscontrolemiddelen. Gebruikers krijgen met Identity & Access Management (IAM) alleen toegang tot data en applicaties die relevant zijn voor hun rol en verantwoordelijkheden binnen de organisatie. Daarbij kun je bijvoorbeeld een vier-ogen-principe[2] instellen voor kritieke functies. Dit wil zeggen dat deze functies alleen kunnen worden uitgevoerd als twee bevoegde personen dit goedkeuren. Een goed voorbeeld van een kritieke functie is het toekennen van  toegangsrechten;
• Continue monitoring: We controleren voortdurend het netwerk en de gebruikers op verdachte activiteiten en potentiële bedreigingen.

[2] Vier-ogen-principe is een procedureel uitgangspunt waarbij bepaalde handelingen altijd door 2 personen uitgevoerd dienen te worden, zodat zij elkaar kunnen controleren. Dit ter voorkoming van fraude/misstanden.

Content Disarm and Reconstruction
Een noemenswaardige techniek die binnenkomende data analyseert en ontdoet van eventuele bedreigingen, is Content Disarm and Reconstruction (CDR). We kennen twee implementatiemogelijkheden voor het toepassen van CDR. Bij de eerste implementatiemogelijkheid vinden er actieve s op waarbij de scans controleren op malware, virussen en andere bedreigingen. Mogelijk gevonden bedreigingen vinden geen doorgang en zijn direct verwijderd.

Bij de tweede implementatiemogelijkheid zijn alle bestanden per definitie als onveilig beschouwd. In deze implementatie bewaard de techniek alleen de relevante inhoud van een inkomend bestand. De rest van de informatie, zoals metadata, is verwijderd. Daarna gebruiken we een “known good” template van een type bestand waarin de eerder bewaarde relevante informatie is geplaatst, voordat deze is toegelaten. Uiterlijk zal het bestand dus alle kenmerken hebben van het ingestuurde bestand (inclusief tekst, design, beelden, etc.), maar zonder de risico’s van het oorspronkelijke bestand. Het bestand is “gestript”. Deze implementatie vergt minder resources van de omgeving en werkt zelfs bij Zero-Day aanvallen[3]. CDR is als techniek dus een perfecte aanvulling op de het Zero Trust model. Niet alleen elke gebruiker, apparaat en/of applicatie is geverifieerd en geautoriseerd; ook alle informatie die de netwerkinfrastructuur in wil komen, is ontdaan van elke mogelijke bedreiging.

[3] Aanvallen op kwetsbaarheden die nog niet zijn onderkend door de fabrikant waardoor er nog geen updates beschikbaar zijn om de kwetsbaarheid te verhelpen.

 

Implementeren van Zero Trust

Als je overal de kabels eruit trekt, heb je ook Zero Trust bereikt, maar dan kan niemand zijn werk meer doen. Zonder gekheid, Zero Trust doe je niet ‘even’. Om te borgen dat de continuïteit van de organisatie niet in het geding komt en om Zero Trust duurzaam in te voeren, is een zorgvuldige implementatie van belang.

Stappenplan: 

1. Inventariseren van beleid: Op basis van de branche waarbinnen jij als organisatie actief bent, vindt er en inventarisatie plaats of het huidige informatiebeveiligingsbeleid toereikend is. Als het beleid niet toereikend is, ondersteunen we bij het opstellen hiervan. Daarbij maken we gebruik van bekende standaarden zoals de BIO, BIC, NEN 7510, ABDO, NIS2 en NIP2.
2. Inventariseren status van bestaande IT Infrastructuur en processen: We starten met een inventarisatie hoe medewerkers omgaan met applicaties en hoe deze applicaties omgaan met de (technische/software) componenten. Daarnaast is het belangrijk om te weten hoe deze componenten onderling communiceren en gebruik van elkaar maken. Aansluitend maken we inzichtelijk of (en zo ja, op welke wijze) de business, applicaties en techniek voldoen aan het vastgestelde beleid. Belangrijk onderdeel hiervan is om in te schalen wat de cruciale data is (de eerdergenoemde kroonjuwelen) en waar deze zich bevindt. Op basis van deze uitgangssituatie bepalen we wat de bedrijfsrisico’s zijn.
3. Gewenste situatie definiëren: Op basis van het vastgestelde beleid, de huidige staat van de netwerk-infrastructuur en de eerder geïdentificeerde kroonjuwelen definiëren we de gewenste eindsituatie.
4. Zwakke plekken identificeren: Op basis van de inventarisatie uit stap een en twee en de gewenste situatie in stap drie, wordt met behulp van een GAP analyse inzichtelijk gemaakt waar de aandachtspunten liggen om te komen tot de gewenste eindsituatie.
5. Programma van Eisen: We prioriteren de geïdentificeerde gaten uit de GAP analyse en leggen deze vast als deelprojecten in een Programma van Eisen (PVE). Dit PvE bespreken we met de verantwoordelijken, waarna we in goed overleg het PvE kunnen valideren.
6. Uitvoering Programma van Eisen: De deelprojecten voeren we uit om de netwerkinfrastructuur van de huidige naar de gewenste situatie te brengen.
7. Borging: Om te borgen dat de onderlinge balans en samenhang tussen de business, IT en het beleid intact blijft, voeren we audits uit. Ook in relatie tot bijvoorbeeld nieuwe aanvalsmethodieken, veranderende omstandigheden of gewijzigde organisatiedoelen.

Het is belangrijk om te beseffen dat Zero Trust geen magische oplossing is voor cyber security. Organisaties moeten nog steeds andere beveiligingsmaatregelen implementeren zoals allerlei beveiligingscomponenten, -software en processen voor het regelmatig updaten van een omgeving om het netwerk en de data te beschermen. Denk bijvoorbeeld aan training van medewerkers en veranderende business processen, maar ook hard- en software zoals:

• Licenties;
• Public Key Infrastructure (PKI);
• Multifactor Authenticatiesystemen;
• End point Protection;
• Firewalls;
• Herzien van de netwerkstructuur.

Hier mag je niet te licht en te makkelijk over denken. Als organisatie is het essentieel om zorgvuldig te overwegen hoe, wat en waar Zero Trust meerwaarde kan bieden én om de juiste processen en procedures te implementeren. Dit zal helpen om ervoor te zorgen dat de implementatie van Zero Trust succesvol is en effectief is toegepast om de beveiliging van de organisatie te verbeteren.

 

Conclusie: voordelen van Zero Trust

Zero Trust is binnen Tedas daarom ook een zeer belangrijk onderwerp. Hoewel het voor organisaties een grote investering kan zijn, biedt het grote voordelen, zoals:

• Business Continuity en kostenbesparing: Als organisatie moet je investeren om weerbaar te zijn tegen aanvallen (zoals ransomware) en de schade zien te voorkomen of te beperken.
• Reductie van beheerslast: Met goede security controls en een overzichtelijke netwerkstructuur is het (gebruikers)beheer voor beheerders vereenvoudigd.
• Gemoedsrust: Zelfs al verkrijgt een cyber crimineel toegang tot een gedeelte van het netwerk, dan kan deze vaak slechts beperkte schade aanrichten. Met name beheerders maar ook bestuurders kunnen met deze wetenschap een stuk rustiger slapen.
• Gebruikersvriendelijkheid: Natuurlijk zorg je er met Zero Trust voor dat niet iedereen overal bij kan en dit kan wel eens wat gemopper opleveren. Om met Zero Trust optimale gebruikersvriendelijkheid te realiseren is een correcte implementatie van belang. Tijdens de implementatie lichten we de gebruiker in met informatie over de komende veranderingen en faciliteren we de gebruiker zodat deze voor zo min mogelijk verassingen komt te staan.
• Interne beveiliging: Een voorbeeld: een malafide USB stick, is door een kwaadwillende in een Client gestoken. De kwaadwillende  heeft maar een zeer beperkt bereik om een netwerk te infecteren. De infectie komt nooit verder dan het eerste station en op basis van de verleende rechten zijn er geen mogelijkheden om programma’s uit te voeren. Daarnaast zorgen we ervoor dat dankzij het vier-ogen-principe het risico op een “Insider Threat”[4] wordt geminimaliseerd.
• Flexibiliteit: Beheerders kunnen dankzij IAM heel flexibel (tijdelijk) rechten toekennen aan gebruikers.
• Compliance: In sommige standaarden (zoals de ABDO, NIS2 en NIP2) is Zero Trust een eis. Organisaties die werken voor defensie voldoen met Zero Trust al aan een aanzienlijk deel van de gestelde eisen.

[4] Insider Threat is de dreiging van binnenuit door een eigen medewerker.

Volg onze social mediakanalen en je bent altijd als eerste op de hoogte van de nieuwste ontwikkelingen in de wereld van Cyber Security. Heb je nog vragen, neem dan gerust contact op met Tedas.

Bel Tedas        Mail Tedas        Tedas op LinkedIn

PS Uit beveiligingsoverwegingen plaatsen wij geen foto’s van onze medewerkers online. In plaats van een fotografische weergave, kiezen we daarom voor een gestileerde illustratie.